Cómo proteger el Escritorio Remoto (RDP) en Windows Server

Si expones el puerto 3389 a Internet, los intentos de intrusión no son una posibilidad sino una certeza, y suelen empezar en cuestión de horas: basta con mirar el registro de seguridad de cualquier servidor accesible para ver cientos de intentos fallidos desde direcciones desconocidas. El Escritorio Remoto es una de las vías de entrada más aprovechadas en los ataques de ransomware, y a la vez una herramienta de la que casi ningún administrador puede prescindir. La solución no es dejar de usarlo, sino configurarlo bien.

Estos son los ajustes que conviene aplicar en cualquier Windows Server 2022 nuevo, por orden de importancia. Los primeros tres dan la mayor parte de la protección; el resto son capas adicionales que se suman a ellos.

1. Nunca expongas RDP directamente a Internet

La medida más efectiva es también la más simple: que el puerto 3389 solo sea accesible desde la red interna o a través de una VPN (WireGuard, OpenVPN, IPsec o la VPN del propio cortafuegos). Si necesitas acceso externo sin VPN, utiliza una Puerta de enlace de Escritorio remoto (RD Gateway), que canaliza RDP sobre HTTPS (puerto 443) con autenticación previa y directivas de autorización por usuario y por destino.

Si ya tienes un servidor expuesto, comprueba desde fuera de tu red si el puerto responde. Puedes hacerlo desde otro equipo con Test-NetConnection tu.ip.publica -Port 3389. Si responde y no lo esperabas, cierra la regla de reenvío del router ahora mismo y sigue con el resto de la guía.

2. Exige autenticación a nivel de red (NLA)

Con NLA, el usuario se autentica antes de que se cree la sesión gráfica, lo que consume menos recursos del servidor y corta de raíz muchos ataques. Comprueba que está activado en Configuración → Sistema → Escritorio remoto → Configuración avanzada (casilla «Requerir que los equipos usen autenticación a nivel de red»), o por directiva de grupo en Configuración del equipo → Plantillas administrativas → Componentes de Windows → Servicios de Escritorio remoto → Host de sesión de Escritorio remoto → Seguridad. También puedes verificarlo desde PowerShell:

(Get-CimInstance -Namespace root\cimv2\terminalservices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired
# 1 = NLA exigido, 0 = no exigido

3. Bloqueo de cuentas contra fuerza bruta

Configura la directiva de bloqueo en secpol.msc (o mediante GPO en un dominio) → Directivas de cuenta → Directiva de bloqueo de cuenta:

Umbral de bloqueo de cuenta: 5 intentos de inicio de sesión no válidos.
Duración del bloqueo de cuenta: 30 minutos.
Restablecer el bloqueo de cuenta después de: 30 minutos.

Con estos valores, un ataque de diccionario contra una cuenta queda limitado a unos cientos de intentos al día en lugar de miles por minuto. Ten en cuenta el efecto secundario: un atacante puede bloquear deliberadamente cuentas legítimas intentando entrar con ellas. Por eso conviene combinar el bloqueo con el punto 1, de modo que solo desde una red de confianza se pueda siquiera intentar.

4. Limita quién puede entrar por RDP

Por defecto, los administradores pueden iniciar sesión remota, y el grupo Usuarios de escritorio remoto permite a sus miembros hacerlo en ese servidor. Crea un grupo específico (por ejemplo GRP-AccesoRDP), añádelo a ese grupo local solo en los servidores que lo necesiten y no uses cuentas genéricas. Para saber cómo montar una estructura de grupos ordenada, consulta nuestra guía de usuarios y grupos en Active Directory.

Además, separa las cuentas: usa una cuenta distinta para el trabajo diario y otra con privilegios de administrador solo para tareas de administración. La cuenta Administrator integrada conviene renombrarla o deshabilitarla para el acceso remoto. Renombrarla no es una protección por sí sola, pero elimina el nombre más probado por los ataques automáticos.

5. Restringe el cortafuegos a las redes que lo necesitan

Aunque el puerto no esté publicado en el router, limita la propia regla de Windows para que solo acepte conexiones desde tu red de administración:

# Localiza las reglas de Escritorio remoto (el nombre depende del idioma del sistema)
Get-NetFirewallRule | Where-Object { $_.DisplayName -like '*Escritorio remoto*' -or $_.DisplayName -like '*Remote Desktop*' } | Select-Object DisplayName, Enabled, Direction

# Permitir solo desde la red de administración
Get-NetFirewallRule | Where-Object { $_.DisplayName -like '*Escritorio remoto*' -and $_.Direction -eq 'Inbound' } | Set-NetFirewallRule -RemoteAddress 192.168.10.0/24

Revisa la salida de la primera orden antes de ejecutar la segunda, para asegurarte de que solo modificas las reglas de entrada que quieres limitar.

6. Cambiar el puerto: útil, pero no te engañes

Cambiar el 3389 por otro puerto reduce el ruido de los escáneres automáticos, pero no detiene a nadie que escanee en serio, porque localizar el servicio RDP en otro puerto es trivial. Si aun así quieres hacerlo:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 3390
New-NetFirewallRule -DisplayName 'RDP puerto alternativo' -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow
Restart-Service TermService -Force

Hazlo siempre con una segunda vía de acceso disponible (consola del hipervisor o KVM), por si algo sale mal, y recuerda que a partir de entonces tendrás que conectarte indicando el puerto (servidor:3390).

7. Añade un segundo factor de autenticación

Una contraseña por sí sola, incluso larga, sigue siendo un único punto de fallo. La forma más habitual de añadir autenticación multifactor a RDP es publicar el acceso mediante una RD Gateway y combinarla con el servicio de directivas de red (NPS) y una extensión de MFA, por ejemplo la de Microsoft Entra. Otra opción es colocar una VPN con MFA delante del servidor. Y, por supuesto, las contraseñas de las cuentas con acceso deben ser largas y únicas: tienes recomendaciones prácticas en nuestra guía para crear contraseñas seguras.

8. Audita los inicios de sesión

Revisa periódicamente quién entra y desde dónde. Los eventos clave del registro de seguridad son el 4624 (inicio de sesión correcto) y el 4625 (fallido). Un matiz importante: con NLA activado, los intentos fallidos de RDP se registran como tipo de inicio de sesión 3 (red), mientras que los correctos aparecen como tipo 10 (remoto interactivo) o 7 (reconexión).

# Últimos 20 intentos fallidos de inicio de sesión
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Format-Table TimeCreated, @{N='Usuario';E={$_.Properties[5].Value}}, @{N='Origen';E={$_.Properties[19].Value}}

# Inicios de sesión remotos correctos en los últimos 7 días
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)} |
  Where-Object { $_.Properties[8].Value -eq 10 } |
  Format-Table TimeCreated, @{N='Usuario';E={$_.Properties[5].Value}}, @{N='Origen';E={$_.Properties[18].Value}}

Si quieres repasar cómo funcionan estos filtros y otros cmdlets de diagnóstico, tienes ejemplos en la guía de comandos de PowerShell imprescindibles. Un pico repentino de eventos 4625 desde una misma dirección es la señal clásica de un ataque de fuerza bruta en curso.

9. Usa un certificado válido y no el autofirmado

Por defecto, RDP usa un certificado autofirmado, y los usuarios se acostumbran a pulsar «Sí» en la advertencia. Esa costumbre es justo lo que necesita un ataque de intermediario. En un dominio, emite un certificado de autenticación de servidor desde tu entidad de certificación interna y asígnalo por GPO (Plantilla de certificado de autenticación de servidor en la misma sección de Seguridad del Host de sesión). Así el cliente puede verificar que se conecta al servidor correcto.

10. Reduce lo que se puede hacer dentro de la sesión

Redirección de unidades y portapapeles: si no hace falta copiar archivos entre el equipo local y el servidor, desactívala por GPO; reduce la fuga de datos y la propagación de malware.
Tiempos de inactividad: configura el límite para sesiones desconectadas e inactivas, de modo que no queden sesiones abiertas olvidadas durante días.
Autorización de inicio de sesión: la directiva Permitir inicio de sesión a través de Servicios de Escritorio remoto debe incluir solo el grupo que has creado.

11. Mantén el servidor parcheado

Vulnerabilidades como BlueKeep (2019) demostraron que RDP puede ser explotable sin credenciales. Aquella afectaba a sistemas antiguos, no a Windows Server 2022, pero desde entonces se han corregido otras fallas graves en los componentes de Escritorio remoto. Windows Update no es negociable en un servidor accesible por RDP: programa una ventana de mantenimiento mensual y cúmplela.

Lista de comprobación rápida

El puerto 3389 no es accesible desde Internet.
NLA activado.
Umbral de bloqueo de cuentas configurado.
Solo el grupo autorizado puede iniciar sesión por RDP.
Cortafuegos limitado a la red de administración.
MFA delante del acceso externo.
Auditoría de eventos 4624 y 4625 revisada con regularidad.
Servidor actualizado.

Preguntas frecuentes

¿Es seguro usar RDP dentro de mi red local?

Es bastante más seguro que expuesto, pero un equipo comprometido dentro de la red puede intentar moverse lateralmente por RDP. Aplica NLA, grupos restringidos y bloqueo de cuentas también en la red interna. Las campañas de engaño dirigidas a empleados suelen ser el primer paso, así que conviene que el equipo sepa qué es el phishing y cómo detectarlo.

¿Puedo conectarme por RDP a Windows 11 Home?

Puedes usar el cliente de Escritorio remoto desde cualquier edición, pero solo las ediciones Pro, Enterprise y Server pueden actuar como equipo remoto al que conectarse.

¿Sustituye una VPN a todo lo anterior?

No. Una VPN reduce enormemente la exposición, pero el resto de medidas siguen siendo valiosas porque protegen frente a credenciales robadas y a equipos ya comprometidos dentro de la red.

Conclusión

La seguridad de RDP no depende de un único ajuste sino de capas: VPN o Gateway por delante, NLA y bloqueo de cuentas como red de seguridad, mínimos privilegios y auditoría para enterarte de lo que ocurre. Aplica hoy los tres primeros puntos y habrás eliminado los riesgos más graves; el resto te llevará una tarde y convertirá tu servidor en un objetivo mucho menos atractivo.

Cómo proteger el Escritorio Remoto (RDP) en Windows Server 2022